RPMにセキュリティ対策やバグ修正がされているか確認する方法

RPMに対して、セキュリティ対策やバグ修正がされているか確認したい場合、

下記のようなコマンドでRPMのチェンジログ（変更履歴）を見るとわかることが多いです。

rpm -q --changelog <インストール済みRPM名>
rpm -qp --changelog <RPMファイル名(～.rpm)>

当然な話ですが

Oracle VM Server（OVS）もRed HatベースのLinuxなので、

インストールされているRPMのチェンジログがみられます。

ためしに、

OVSにインストールされているXenのRPMについてみてみます。

[root@ovs2 ~]# cat /etc/ovs-release
Oracle VM server release 3.2.1
[root@ovs2 ~]# rpm -qi xen
Name        : xen                          Relocations: (not relocatable)
Version     : 4.1.3                             Vendor: Oracle America
Release     : 25.el5                        Build Date: Thu 06 Dec 2012 02:15:11 AM JST
Install Date: Tue 12 Mar 2013 10:55:47 AM JST      Build Host: ca-build6.us.oracle.com
Group       : Development/Libraries         Source RPM: xen-4.1.3-25.el5.src.rpm
Size        : 12039258                         License: GPL
Signature   : DSA/SHA1, Thu 06 Dec 2012 02:15:36 AM JST, Key ID 66ced3de1e5e0159
URL         : http://xen.org/
Summary     : Xen is a virtual machine monitor
Description :
This package contains the Xen hypervisor and Xen tools, needed to
run virtual machines on x86 systems.

インストールされているXenのチェンジログは、こんな感じで見られます。

[root@ovs2 ~]# rpm -q --changelog xen
* Thu Dec 06 2012 Konrad Wilk <konrad.wilk@oracle.com> - 4.1.3-25
- Xen Security Advisory CVE-2012-5514 / XSA-30 (v4).
  aka. Broken error handling in guest_physmap_mark_populate_on_demand()
  The original checkin was using v1, which did not have the
  extra check for priviliged domains and the less verbose printk.
  This patch updates the xsa-30 to v4.
  ISSUE DESCRIPTION
  =================
  guest_physmap_mark_populate_on_demand(), before carrying out its actual
  operation, checks that the subject GFNs are not in use. If that check fails,
（以下略）

CVE-～のセキュリティ対策がされているかも記載されています。

[root@ovs2 ~]# rpm -q -changelog xen | grep CVE
- Xen Security Advisory CVE-2012-5514 / XSA-30 (v4).
  This is XSA-30 / CVE-2012-5514.
- Xen Security Advisory CVE-2012-5515 / XSA-31
  This is XSA-31 / CVE-2012-5515.
- Xen Security Advisory CVE-2012-5514 / XSA-30
  This is XSA-30 / CVE-2012-5514.
- Xen Security Advisory CVE-2012-5513 / XSA-29
  This is XSA-29 / CVE-2012-5513.
- Xen Security Advisory CVE-2012-5512 / XSA-28
  This is XSA-28 / CVE-2012-5512.
（以下略）

バグ修正についても記載されています。
たとえば、[bug 13845552] が修正済みか調べる場合は、

[root@ovs2 ~]# rpm -q -changelog xen | grep 13845552
- Correct stop xend return status [bug 13845552] ★修正されていそう

※このバグが特に重要というわけではありません。適当に1つ選びました。

脆弱性調査とかで、CVE番号やバグ番号（BZ#）などでgrepして見たりします。

以上、チェンジログ確認の話でした・・・